dsh-pighub 0.9.64 → 0.9.67

package/CHANGELOG.md

@@ -102,6 +102,32 @@ T2 对 10 s 取模 271/301 ms —— 渲染与停止窗口都解释不了这种
 - 连点两次 disable 无异常；enable 4 次都能拉回桌宠；自愈实测通过；
 - 新增 `test/lifecycle.test.mjs`（4 条）→ 全量 **107 PASS / 0 FAIL**。
 
+## [0.9.66] — 2026-11-14
+
+### Fixed — zip 主题包导入
+
+- 导入改走**状态路由上的 action**（`{action:'theme-import', zipBase64}`）：宿主的 exact 路由按前缀先命中，
+  单独注册的 `/pighub/theme-import` 会被状态路由抢走当 JSON 解析（实测 `Unexpected token 'P'`，P 就是 zip 魔数）；
+- 状态路由 body 上限 64 KB → **24 MB**（base64 后的 zip 约 1 MB，原来会被判 `body_too_large`）；
+- 真机往返实测：738 KB zip → 解压到 `~/.PigHub/themes/zipdemo/` → 出现在主题列表 → 自动切换 → 几何生效。
+
+## [0.9.64] — 2026-11-14
+
+### Added — 猪圈主题包
+
+- 主题放 `~/.PigHub/themes/<name>/`：`theme.json` 声明 `geometry{grass,inner,box}`（百分比，逐字段回落 classic）
+  与 `fence{image,split,back,front}`，可选 `grassImage` / `house`；当前外观成为内置默认主题 **classic**；
+- 宿主：`/pighub/theme/<name>/<file>` 逐张 exact 路由、快照带 `themes[]` / `activeTheme` / `prefs.theme`、action `{action:'theme',name}`；
+- 客户端：按主题注入几何与围栏图，**三层兜底**（宿主逐字段回落 → 客户端 `themeRect()` 再校验 → 图片缺失回落包内 `pen-fence.png`），不许白屏；
+- 设置面板：主题选择器（立即生效）+ **「更换主题包（.zip）…」**（隐藏 `input[type=file]` 唤起系统文件选择器）；
+- zip 导入：最小 ZIP 读取器（STORED/DEFLATE，`zlib.inflateRawSync`），四道上限（500 条 / 单文件 8 MB / 解压 40 MB / 报文 24 MB），
+  先写临时目录再原子 rename；失败不动现有主题。
+
+### Added — 启动静默自动更新
+
+- 插件 enable 后延迟 15s、每次启动只跑一次；GET registry 的 latest，**语义化版本比较**，仅远端严格更大才后台安装；
+- **不通知用户、不提供开关**；失败只写 `~/.PigHub/logs/auto-update.log`；不自动重启宿主；网络错误只记一条。
+
 ## [0.9.57] — 2026-11-14
 
 > 说明：0.9.48–0.9.56 的条目缺失（CHANGELOG 一度落后于 package.json），本轮从 0.9.57 起恢复记录。

package/lib/client.js

@@ -1552,11 +1552,29 @@ window.__ModuleLoader__.load({
        * 设置浮层要画选择器、猪圈的栅栏与草地要吃几何，所以在这里定义一次、全文共用。
        * 注意必须在使用之前——设置浮层比 poolAll 那段构造得更早，放后面会踩 const 的 TDZ。 */
       const activeTheme = (data && data.activeTheme) || { name: 'classic' };
+      /* 主题图片**可能加载不到**（典型case：刚用 zip 导入的主题，它的图片路由要等插件重载才注册）。
+       * 这时不能整层消失——用一次预加载探一下，失败就回落到包内那张 pen-fence.png（用户 2026-11-14 报「栏杆哪去了」）。 */
+      const [fenceFallback, setFenceFallback] = useState(false);
+      useEffect(() => {
+        const probe = activeTheme.fence && activeTheme.fence.image;
+        if (!probe || activeTheme.name === 'classic') { setFenceFallback(false); return; }
+        let alive = true;
+        const img = new Image();
+        img.onload = () => { if (alive) setFenceFallback(false); };
+        img.onerror = () => { if (alive) setFenceFallback(true); };
+        img.src = themeFenceUrl(activeTheme, 'back');
+        return () => { alive = false; };
+      }, [activeTheme.name, activeTheme.fence && activeTheme.fence.image]);
+      const displayTheme = fenceFallback
+        ? Object.assign({}, activeTheme, { fence: Object.assign({}, activeTheme.fence, { image: '', back: '', front: '' }) })
+        : activeTheme;
 
       /* 设置浮层。星级显示三档改的是 prefs，落盘在 Host 半，所以刷新/换机器后仍然生效。 */
       const [settingsOpen, setSettingsOpen] = useState(false);
       /** 图鉴：列出池子全部猪猪，未获取的压暗 + 名字打码（用户口径 2026-11-13）。 */
       const [galleryOpen, setGalleryOpen] = useState(false);
+      /** 主题二级菜单（用户口径 2026-11-14）：设置主面板只放入口，点进去才是列表 + 删除 + 导入。 */
+      const [themeMenuOpen, setThemeMenuOpen] = useState(false);
       /*
        * hover 档：划过就记一个「到期时间」，面板每 400ms 重渲染一次来让胶囊自己消失。
        * 用「到期时间 + 轮询」而不是「每只猪一个 setTimeout」：猪的数量是运行期才知道的，
@@ -1691,17 +1709,37 @@ window.__ModuleLoader__.load({
               /* 猪圈主题（用户口径 2026-11-14）：列出快照里的 themes（内置 classic 永远第一 + ~/.PigHub/themes 下的目录），
                * 点一下走 {action:'theme'}，宿主落 prefs；rev 令牌带 theme，所以切换后立刻重取快照、不用重载插件。 */
               h('h4', null, '猪圈主题'),
-              h('div', { className: 'pighub-seg' },
-                ((data && data.themes) || [{ name: 'classic', title: 'classic（默认）' }]).map((item) =>
-                  h('button', {
-                    key: 'theme-' + item.name,
-                    type: 'button',
-                    'aria-pressed': activeTheme.name === item.name ? 'true' : 'false',
-                    title: item.title || item.name,
-                    onClick: () => { request({ action: 'theme', name: item.name }).then(apply).catch(() => {}); },
-                  }, item.title || item.name),
-                ),
+              h('div', { className: 'row' },
+                h('span', null, '当前：' + (activeTheme.title || activeTheme.name)),
+                h('button', {
+                  type: 'button',
+                  className: 'pighub-ghostbtn',
+                  'aria-expanded': themeMenuOpen ? 'true' : 'false',
+                  onClick: () => setThemeMenuOpen((open) => !open),
+                }, themeMenuOpen ? '收起' : '更换…'),
               ),
+              themeMenuOpen
+                ? h('div', { className: 'pighub-themelist' },
+                    ((data && data.themes) || [{ name: 'classic', title: 'classic（默认）' }]).map((item) =>
+                      h('div', { key: 'theme-row-' + item.name, className: 'pighub-themerow' },
+                        h('button', {
+                          type: 'button',
+                          className: 'pighub-ghostbtn',
+                          'aria-pressed': activeTheme.name === item.name ? 'true' : 'false',
+                          onClick: () => { request({ action: 'theme', name: item.name }).then(apply).catch(() => {}); },
+                        }, (activeTheme.name === item.name ? '✓ ' : '') + (item.title || item.name)),
+                        item.name === 'classic'
+                          ? h('span', { className: 'pighub-themedel is-disabled' }, '内置')
+                          : h('button', {
+                              type: 'button',
+                              className: 'pighub-themedel',
+                              title: '删除这个主题（当前主题会回落 classic）',
+                              onClick: () => { request({ action: 'theme-delete', name: item.name }).then(apply).catch(() => {}); },
+                            }, '删除'),
+                      ),
+                    ),
+                  )
+                : null,
               /* 「更换主题包」：用隐藏的 <input type=file accept=.zip> 唤起系统文件选择器（Electron 里就是原生对话框），
                * 选中的 zip 原样 POST 到 /pighub/theme-import；宿主校验并解压后**自动切到新主题**，这里只负责刷新快照。 */
               h('div', { className: 'row' },
@@ -1718,12 +1756,19 @@ window.__ModuleLoader__.load({
                     const file = input && input.files && input.files[0];
                     if (!file) return;
                     const finish = () => { if (input) input.value = ''; };
+                    // 走状态路由上的 action（不走单独的 /theme-import：宿主的 exact 路由按前缀先命中，
+                    // 二进制会被状态路由当 JSON 解析）。base64 多 33%，但一定命中。
                     file.arrayBuffer()
-                      .then((buffer) => fetch(ROUTE + '/theme-import', {
-                        method: 'POST',
-                        headers: { 'content-type': 'application/zip' },
-                        body: buffer,
-                      }))
+                      .then((buffer) => {
+                        let binary = '';
+                        const bytes = new Uint8Array(buffer);
+                        for (let i = 0; i < bytes.length; i += 1) binary += String.fromCharCode(bytes[i]);
+                        return fetch(ROUTE, {
+                          method: 'POST',
+                          headers: { 'content-type': 'application/json' },
+                          body: JSON.stringify({ action: 'theme-import', zipBase64: btoa(binary) }),
+                        });
+                      })
                       .then((response) => response.json())
                       .then((payload) => { if (payload && payload.ok) apply(payload); })
                       .catch(() => {})
@@ -1841,7 +1886,7 @@ window.__ModuleLoader__.load({
       const ownedIds = {};
       for (const pig of (data && data.pigs) || []) ownedIds[pig.id] = pig;
       /* 当前主题（快照里的 activeTheme 已在宿主侧回落过 classic）：养在这里，供栅栏/草地/小屋共用。 */
-      const theme = activeTheme;
+      const theme = displayTheme;
       // 已获取的排前面（否则 256 格里很难找到自己的猪），未获取的保持原序
       const poolAll = (data && data.pool) || [];
       const pool = poolAll

package/lib/index.js

@@ -18,6 +18,7 @@ import { fileURLToPath } from 'node:url';
 import { runAutoUpdate, makeFileLogger } from './auto-update.js';
 import { THEME_ROUTE, CLASSIC_THEME_NAME, listThemes, readThemeDir, themeAssetPath } from './themes.js';
 import { readZip, isSafeZipName } from './zip.js';
+import { validateThemePack } from './themes.js';
 import { extname } from 'node:path';
 import { readAssetManifest, assetPool, assetSummary, assetUrlOf, IMAGE_DIR, ASSET_ROUTE, PEN_ROUTE, PEN_ART } from './assets.js';
 import {
@@ -43,7 +44,7 @@ export const inject = ['tools'];
 import { startDesktopPet, stopDesktopPet, syncDesktopPet, desktopPetState, sayOnDesktop, reclaimStaleSessions } from './desktop-pet.js';
 
 const here = dirname(fileURLToPath(import.meta.url));
-const VERSION = '0.9.64';
+const VERSION = '0.9.67';
 /** 桌面桌宠的精灵边长（CSS px 基准，= manifest 里 sizeRatio 的中位数）。 */
 const DESKTOP_PET_SIZE = 96;
 /** 全局尺寸系数（用户口径 2026-11-13：「整体猪猪缩小到 75% 大小」）。三层一起乘。 */
@@ -490,9 +491,112 @@ export function apply(ctx, config) {
           try {
             if (req.method === 'GET') { sendJson(res, 200, snapshot(root)); return; }
             if (req.method !== 'POST') { sendJson(res, 405, { ok: false, error: 'method_not_allowed' }); return; }
-            const body = await readBody(req);
+            /* 状态路由的 body 上限提到 24 MB：主题包导入是 base64（738 KB 的 zip → 约 1 MB 的报文），
+             * 默认 64 KB 会把它判成 body_too_large。这是个只监听回环的本地服务，放宽是安全的。 */
+            const body = await readBody(req, 24 * 1024 * 1024);
             const action = typeof body.action === 'string' ? body.action : 'state';
 
+            /* 主题包导入走**状态路由上的 action**（用户口径 2026-11-14）。
+             * 为什么不另开 /pighub/theme-import：宿主的 exact 路由按前缀先命中，二进制 zip 会被
+             * 这条状态路由抢走当 JSON 解析（实测报 "Unexpected token 'P'"，P 就是 zip 魔数 PK）。
+             * base64 多 33% 传输，换来路由一定命中。 */
+            if (action === 'theme-import') {
+              const b64 = typeof body.zipBase64 === 'string' ? body.zipBase64 : '';
+              if (!b64) { sendJson(res, 200, { ok: false, error: 'empty_body' }); return; }
+              let raw = null;
+              try { raw = Buffer.from(b64, 'base64'); } catch { raw = null; }
+              if (!raw || !raw.length) { sendJson(res, 200, { ok: false, error: 'bad_base64' }); return; }
+              const parsed = readZip(raw);
+              if (!parsed.ok) { sendJson(res, 200, { ok: false, error: parsed.reason }); return; }
+              const jsonEntry = parsed.files.find((file) => /(^|\/)theme\.json$/i.test(file.name));
+              if (!jsonEntry) { sendJson(res, 200, { ok: false, error: 'theme_json_missing' }); return; }
+              const prefix = jsonEntry.name.replace(/theme\.json$/i, '');
+              let meta;
+              try { meta = JSON.parse(jsonEntry.data.toString('utf8')); } catch { sendJson(res, 200, { ok: false, error: 'theme_json_invalid' }); return; }
+              // 准入闸门（用户口径 2026-11-14：不合法主题要拒绝）：非法就明确拒绝，不许静默回落当成功
+              const verdict = validateThemePack(meta, parsed.files, prefix);
+              if (!verdict.ok) { sendJson(res, 200, { ok: false, error: verdict.reason }); return; }
+              const themeName = verdict.name;
+              const targetDir = join(userThemesDir, themeName);
+              const staging = join(userThemesDir, '.' + themeName + '.tmp-' + Date.now());
+              try {
+                rmSync(staging, { recursive: true, force: true });
+                mkdirSync(staging, { recursive: true });
+                for (const file of parsed.files) {
+                  const rel = file.name.startsWith(prefix) ? file.name.slice(prefix.length) : file.name;
+                  if (!rel || rel.endsWith('/')) continue;
+                  if (!/\.(json|png|jpg|jpeg|webp|svg)$/i.test(rel)) continue;
+                  if (!isSafeZipName(rel)) { sendJson(res, 200, { ok: false, error: 'unsafe_entry_name', name: file.name }); return; }
+                  const target = join(staging, rel);
+                  mkdirSync(dirname(target), { recursive: true });
+                  writeFileSync(target, file.data);
+                }
+                rmSync(targetDir, { recursive: true, force: true });
+                renameSync(staging, targetDir);
+              } catch (error) {
+                try { rmSync(staging, { recursive: true, force: true }); } catch { /* ignore */ }
+                sendJson(res, 200, { ok: false, error: 'write_failed', detail: String((error && error.message) || error).slice(0, 120) });
+                return;
+              }
+              /* **动态注册**这个主题的图片路由（用户口径 2026-11-14：「栏杆不再消失」）：
+               * 启动时只扫过一次目录，导入进来的主题如果没有自己的路由，它的围栏图就会 404，
+               * 客户端只能回落到 classic 围栏。这里把刚写下去的每张图当场注册成 exact 路由。 */
+              if (webServer) {
+                for (const file2 of parsed.files) {
+                  const rel2 = file2.name.startsWith(prefix) ? file2.name.slice(prefix.length) : file2.name;
+                  if (!rel2 || rel2.endsWith('/')) continue;
+                  if (!/\.(png|jpg|jpeg|webp|svg)$/i.test(rel2)) continue;
+                  const routePath = THEME_ROUTE + '/' + themeName + '/' + rel2;
+                  ctx.effect(
+                    () =>
+                      webServer.register({
+                        kind: 'exact',
+                        path: routePath,
+                        handler: async (req, res) => {
+                          try {
+                            if (req.method !== 'GET') { sendJson(res, 405, { ok: false, error: 'method_not_allowed' }); return; }
+                            const abs = themeAssetPath({ name: themeName, file: rel2, builtinDir: join(themeRoot, CLASSIC_THEME_NAME), userThemesDir });
+                            if (!abs) { sendJson(res, 404, { ok: false, error: 'theme_asset_not_found' }); return; }
+                            const bin = readFileSync(abs);
+                            res.writeHead(200, {
+                              'content-type': themeMime(rel2),
+                              'content-length': String(bin.length),
+                              'cache-control': 'private, no-cache, must-revalidate',
+                              'x-content-type-options': 'nosniff',
+                            });
+                            res.end(bin);
+                          } catch (error) {
+                            const message = error && error.message ? String(error.message) : 'internal_error';
+                            try { sendJson(res, 500, { ok: false, error: message }); } catch { /* 已结束 */ }
+                          }
+                        },
+                      }),
+                    'pighub-theme-' + themeName + '-' + rel2,
+                  );
+                }
+              }
+              const nextPrefs2 = writePrefs(root, { theme: themeName });
+              sendJson(res, 200, { ...snapshot(root), ok: true, theme: themeName, prefs: nextPrefs2 });
+              return;
+            }
+
+            /* 删除主题（classic 不可删；删的是当前主题就回落 classic）。 */
+            if (action === 'theme-delete') {
+              const wanted = String(body.name || '').trim();
+              if (!/^[a-zA-Z0-9._-]{1,48}$/.test(wanted)) { sendJson(res, 200, { ok: false, error: 'theme_name_invalid' }); return; }
+              if (wanted === CLASSIC_THEME_NAME) { sendJson(res, 200, { ok: false, error: 'classic_is_builtin' }); return; }
+              const dir = join(userThemesDir, wanted);
+              if (!existsSync(dir)) { sendJson(res, 200, { ok: false, error: 'theme_not_found', name: wanted }); return; }
+              try { rmSync(dir, { recursive: true, force: true }); } catch (error) {
+                sendJson(res, 200, { ok: false, error: 'delete_failed', detail: String((error && error.message) || error).slice(0, 120) });
+                return;
+              }
+              const wasActive = (readPrefs(root).theme || CLASSIC_THEME_NAME) === wanted;
+              const nextPrefs3 = wasActive ? writePrefs(root, { theme: CLASSIC_THEME_NAME }) : readPrefs(root);
+              sendJson(res, 200, { ...snapshot(root), ok: true, deleted: wanted, prefs: nextPrefs3 });
+              return;
+            }
+
             if (action === 'state') { sendJson(res, 200, snapshot(root)); return; }
 
             /*

package/lib/themes.js

@@ -116,3 +116,44 @@ export function themeAssetPath({ name, file, builtinDir, userThemesDir }) {
   const builtin = join(builtinDir || '', String(file));
   return existsSync(builtin) ? builtin : null;
 }
+
+/**
+ * 严格校验一个**待导入**的主题包（用户口径 2026-11-14：「不合法主题要拒绝」）。
+ * 与 normaliseTheme 的区别：normaliseTheme 是给**已存在**的主题做逐字段兜底（宁可显示 classic 也不崩）；
+ * 这里是**准入闸门**——不合规就直接拒绝并说明原因，绝不悄悄当成成功。
+ */
+export function validateThemePack(meta, files, prefix) {
+  if (!meta || typeof meta !== 'object' || Array.isArray(meta)) return { ok: false, reason: 'theme_json_not_object' };
+  const name = String(meta.name || prefix.replace(/\/$/, '')).trim();
+  if (!/^[a-zA-Z0-9._-]{1,48}$/.test(name)) return { ok: false, reason: 'theme_name_invalid:' + name };
+  if (name === CLASSIC_THEME_NAME) return { ok: false, reason: 'theme_name_reserved:classic' };
+  const rel = files.map((f) => (f.name.startsWith(prefix) ? f.name.slice(prefix.length) : f.name)).filter((n) => n && !n.endsWith('/'));
+  const hasImage = rel.some((n) => /\.(png|jpg|jpeg|webp|svg)$/i.test(n));
+  const geo = meta.geometry;
+  let hasGeometry = false;
+  if (geo !== undefined) {
+    if (!geo || typeof geo !== 'object' || Array.isArray(geo)) return { ok: false, reason: 'geometry_not_object' };
+    for (const key of ['grass', 'inner', 'box']) {
+      const value = geo[key];
+      if (value === undefined) continue;
+      if (!Array.isArray(value) || value.length !== 4 || value.some((n) => !Number.isFinite(Number(n)))) {
+        return { ok: false, reason: 'geometry_invalid:' + key };
+      }
+      const [l, t, r, b] = value.map(Number);
+      if (!(l >= 0 && t >= 0 && r <= 100 && b <= 100)) return { ok: false, reason: 'geometry_out_of_range:' + key };
+      if (!(l < r) || !(t < b)) return { ok: false, reason: 'geometry_inverted:' + key };
+      hasGeometry = true;
+    }
+  }
+  if (!hasImage && !hasGeometry) return { ok: false, reason: 'theme_has_nothing:需要至少一张图片或一段合法 geometry' };
+  const fence = meta.fence;
+  if (fence && typeof fence === 'object' && fence.image) {
+    const img = String(fence.image);
+    if (!/\.(png|jpg|jpeg|webp|svg)$/i.test(img)) return { ok: false, reason: 'fence_image_not_image:' + img };
+    if (rel.indexOf(img) < 0) return { ok: false, reason: 'fence_image_missing:' + img };
+  }
+  for (const one of rel) {
+    if (!/\.(json|png|jpg|jpeg|webp|svg)$/i.test(one)) return { ok: false, reason: 'unexpected_file:' + one };
+  }
+  return { ok: true, reason: '', name };
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-pighub",
-  "version": "0.9.64",
+  "version": "0.9.67",
   "description": "猪猪库 PigHub 的 DeepSeek Harness 插件：侧边栏猪圈面板、每日一只猪猪、重复获得升星、可拖出的置顶桌宠，数据落在 ~/.PigHub。不内嵌任何上游图片。",
   "type": "module",
   "main": "./lib/index.js",
@@ -49,14 +49,14 @@
     "node": ">=22.12.0"
   },
   "scripts": {
-    "test": "node test/smoke.mjs && node test/store.test.mjs && node test/host.test.mjs && node test/imaging.test.mjs && node test/client.test.mjs && node test/lifecycle.test.mjs && node test/auto-update.test.mjs",
+    "test": "node test/smoke.mjs && node test/store.test.mjs && node test/host.test.mjs && node test/imaging.test.mjs && node test/client.test.mjs && node test/lifecycle.test.mjs && node test/auto-update.test.mjs && node test/themes.test.mjs",
     "test:client": "node test/client.test.mjs",
     "assets:build": "node scripts/build-assets.mjs",
     "assets:adopt": "node scripts/adopt-cards.mjs",
     "cards:make": "node scripts/make-cards.mjs",
     "cards:report": "node scripts/cards-report.mjs",
     "cards:select": "node scripts/cards-selection.mjs",
-    "prepublishOnly": "node test/smoke.mjs && node test/store.test.mjs && node test/host.test.mjs && node test/imaging.test.mjs && node test/client.test.mjs && node test/lifecycle.test.mjs && node test/auto-update.test.mjs"
+    "prepublishOnly": "node test/smoke.mjs && node test/store.test.mjs && node test/host.test.mjs && node test/imaging.test.mjs && node test/client.test.mjs && node test/lifecycle.test.mjs && node test/auto-update.test.mjs && node test/themes.test.mjs"
   },
   "license": "MIT",
   "author": {

package/test/themes.test.mjs

@@ -0,0 +1,35 @@
+#!/usr/bin/env node
+/** 主题包准入闸门 + 归一化的离线用例（用户口径 2026-11-14：不合法主题要拒绝）。 */
+import assert from 'node:assert/strict';
+import { validateThemePack, normaliseTheme, CLASSIC_GEOMETRY } from '../lib/themes.js';
+
+let pass = 0, fail = 0;
+const check = (name, fn) => { try { fn(); pass++; console.log('PASS  ' + name); } catch (e) { fail++; console.log('FAIL  ' + name + ' :: ' + (e && e.message)); } };
+const rejects = (meta, files, prefix, expect) => {
+  const r = validateThemePack(meta, files, prefix || '');
+  assert.equal(r.ok, false, '应当拒绝：' + JSON.stringify(meta));
+  assert.ok(r.reason.indexOf(expect) === 0, '原因应为 ' + expect + '，实际 ' + r.reason);
+};
+const img = [{ name: 'fence.png', data: Buffer.alloc(1) }];
+const meta = [{ name: 'theme.json', data: Buffer.alloc(1) }];
+
+check('主题名非法 → 拒绝', () => rejects({ name: '../x' }, img.concat(meta), '', 'theme_name_invalid'));
+check('主题名保留字 classic → 拒绝', () => rejects({ name: 'classic' }, img.concat(meta), '', 'theme_name_reserved'));
+check('geometry 非 4 数字 → 拒绝', () => rejects({ name: 'a', geometry: { grass: [1, 2, 3] } }, img.concat(meta), '', 'geometry_invalid'));
+check('geometry left≥right → 拒绝', () => rejects({ name: 'a', geometry: { grass: [80, 20, 10, 90] } }, img.concat(meta), '', 'geometry_inverted'));
+check('geometry 越界 → 拒绝', () => rejects({ name: 'a', geometry: { grass: [-5, 20, 80, 90] } }, img.concat(meta), '', 'geometry_out_of_range'));
+check('既无图片又无 geometry → 拒绝', () => rejects({ name: 'a' }, meta, '', 'theme_has_nothing'));
+check('fence.image 不在包里 → 拒绝', () => rejects({ name: 'a', fence: { image: 'nope.png' } }, img.concat(meta), '', 'fence_image_missing'));
+check('包里混入非 json/图片 → 拒绝', () => rejects({ name: 'a' }, img.concat(meta, [{ name: 'run.exe', data: Buffer.alloc(1) }]), '', 'unexpected_file'));
+check('合法包 → 通过且名字取自 theme.json', () => {
+  const r = validateThemePack({ name: 'ok', geometry: { grass: [10, 20, 90, 95] } }, img.concat(meta), '');
+  assert.equal(r.ok, true); assert.equal(r.name, 'ok');
+});
+check('normaliseTheme 对坏 geometry 逐字段回落 classic', () => {
+  const t2 = normaliseTheme({ name: 'x', geometry: { grass: 'bad', inner: [1, 2, 3, 4] } }, 'x');
+  assert.deepEqual(t2.geometry.grass, CLASSIC_GEOMETRY.grass);
+  assert.deepEqual(t2.geometry.inner, [1, 2, 3, 4]);
+});
+
+console.log('\n' + pass + ' PASS / ' + fail + ' FAIL  —  themes');
+process.exit(fail === 0 ? 0 : 1);